[논문 리뷰] Improving ICS Cyber Resilience through Optimal Diversification of Network Resources

Tingting Li, Cheng Feng외 1명|arXiv (Cornell University)|2018. 10. 31.

Network Security and Intrusion Detection참고 문헌 24인용 수 8

한 줄 요약

이 논문은 스툴스넷과 같은 제로데이 공격에 특히 강력한 사이버 복원력을 확보하기 위해 산업 제어 시스템(ICS)에 최적의 다각화 프레임워크를 제안한다. 다중 서비스(다중 레이블)로 모델링된 네트워크 호스트와 CVE/NVD 데이터에서 유도된 취약성 유사도 메트릭을 사용하여 문제를 마르코프 무작위 필드(MRF)로 공식화하고, TRW-S를 통해 최적화함으로써 대규모 네트워크(최대 10,000대의 호스트, 240,000개의 간선)에서도 1분 내외로 근사 최적의 복원력을 달성한다. 이는 레거시 시스템과 구성 정책과 같은 실제 제약 조건을 모두 수용할 수 있다.

ABSTRACT

Network diversity has been widely recognized as an effective defense strategy to mitigate the spread of malware. Optimally diversifying network resources can improve the resilience of a network against malware propagation. This work proposes an efficient method to compute such an optimal deployment, in the context of upgrading a legacy Industrial Control System with modern IT infrastructure. Our approach can tolerate various constraints when searching for an optimal diversification, such as outdated products and strict configuration policies. We explicitly measure the vulnerability similarity of products based on the CVE/NVD, to estimate the infection rate of malware between products. A Stuxnet-inspired case demonstrates our optimal diversification in practice, particularly when constrained by various requirements. We then measure the improved resilience of the diversified network in terms of a well-defined diversity metric and Mean-time-to-compromise (MTTC), to verify the effectiveness of our approach. We further evaluate three factors affecting the performance of the optimization, such as the network structure, the variety of products and constraints. Finally, we show the competitive scalability of our approach in finding optimal solutions within a couple of seconds to minutes for networks of large scales (up to 10,000 hosts) and high densities (up to 240,000 edges).

연구 동기 및 목표

• 통합된 IT/OT 산업 네트워크에서 악성 소프트웨어 확산 위험이 증가하는 데 대응하기 위해, 특히 스툴스넷과 같은 제로데이 공격에 대비한 복원력 향상.
• 이전 연구에서 단일 레이블 노드를 가정하고 구성 제약 조건이 없으며 제품 간 취약성 중복도 고려하지 않는 한계를 극복하기 위해.
• 레거시 ICS 환경에서 네트워크 자원의 최적 다각화를 위한 확장 가능하고 제약 조건을 고려한 방법 개발.
• 다양성 지표와 평균 취약 시간(MTTC)을 평가 기준으로 삼아 네트워크 복원력을 정량화하고 향상시키기.
• 노후 소프트웨어와 엄격한 구성 정책과 같은 실제 제약 조건을 통합하여 다각화된 시스템의 실용적 구현 가능성을 확보하기.

제안 방법

• 각 호스트를 다중 레이블 노드로 모델링하여, 각 레이블이 서로 다른 서비스/제품을 나타내도록 하여, 각 호스트당 다중 공격 벡터를 표현 가능하게 한다.
• CVE/NVD 데이터 기반의 취약성 유사도 메트릭을 도입하여, 서로 다른 제품 간 악성 코드 확산 가능성을 추정한다.
• 전체 네트워크를 마르코프 무작위 필드(MRF)로 표현하며, 각 호스트의 레이블에 할당된 제품이 값이 된다.
• TRW-S 알고리즘을 사용하여 MRF 최적화 문제를 효율적으로 해결하고 전역 최적의 제품 할당을 도출한다.
• 구성 제약 조건(예: 필수 소프트웨어 버전, 정책 제한)을 최적화 프레임워크에 직접 통합한다.
• 다양성 지표와 MTTC를 사용하여 복원력을 평가하고, 최적의 다각화 전략과 무작위 다각화 전략을 비교한다.

실험 결과

연구 질문

• RQ1 ICS 환경에서 최적의 제품 다각화를 통해 제로데이 악성 소프트웨어에 대한 네트워크 복원력을 어떻게 극대화할 수 있는가?
• RQ2 레거시 시스템과 구성 정책과 같은 실제 제약 조건은 최적의 다각화의 실현 가능성과 효과성에 얼마나 큰 영향을 미치는가?
• RQ3 제품 간 취약성 유사도가 악성 소프트웨어 확산에 미치는 영향은 무엇이며, 이를 정량적으로 모델링할 수 있는가?
• RQ4 제안된 최적화 방법은 대규모 고밀도 ICS 네트워크에서 얼마나 확장 가능한가?
• RQ5 MTTC 감소와 다양성 증가 측면에서 최적의 다각화는 랜덤 또는 히وري스틱 기반 다각화에 비해 얼마나 우수한가?

주요 결과

• 제안된 방법은 최대 10,000대의 호스트와 240,000개의 간선를 가진 대규모 ICS 네트워크에서도 3분 이내로 최적의 다각화를 달성하여 뛰어난 확장성 입증.
• 최적의 다각화는 랜덤 할당 대비 MTTC를 크게 감소시키며, 다양성 지표를 통해 복원력 향상의 명백한 개선을 보여줌.
• CVE/NVD 데이터에서 유도된 취약성 유사도 메트릭은 다양한 제조사 간 악성 코드 확산 위험을 효과적으로 포착함.
• 레거시 소프트웨어와 정책 제약 조건과 같은 구성 제약 조건은 솔루션 품질을 훼손하지 않고도 공식적으로 최적화 프레임워크에 통합 가능.
• 단일 레이블 모델 대비 다중 레이블 모델이 다중 공격 벡터를 포함한 복잡한 공격 경로를 더 잘 포괄하여 성능이 뛰어남.
• 높은 네트워크 밀도(예: 1호스트당 평균 40개 간선, 1호스트당 25개 서비스) 조건에서도 효율성을 유지하며, 계산 시간은 주로 호스트 수에 비례하고 간선 수에 비례하지 않음.